◇SH2734◇リクルートキャリア、『リクナビDMPフォロー』における学生7983名を対象としたプライバシーポリシー同意取得の不備と、サービスの廃止　山田祐大（2019/08/23）

リクルートキャリア、『リクナビDMPフォロー』における学生7983名を
対象としたプライバシーポリシー同意取得の不備と、サービスの廃止

岩田合同法律事務所

弁護士　山　田　祐　大

 

１　はじめに

　株式会社リクルートキャリア（以下「本会社」という。）は、2019年8月5日、『リクナビDMPフォロー』サービス（以下「本サービス」という。）において分析スコアを企業に提供する際、その対象となる個人情報の第三者提供に関し、7983名の学生からの同意取得に不備があったこと等を受け、同サービスを廃止することを発表した[1]。

　本サービスは、採用企業における前年度の応募学生の就職ポータルサイト上での行動ログ等のデータを解析の対象とし、その企業に対する応募行動についてのアルゴリズムを作成し、それに今年度の当該企業へ応募する学生の行動ログとを照会し、その分析結果である「採用選考のプロセスが途絶えてしまう可能性」（以下「本分析スコア」という。）を企業へ提供するものであった（下図参照）。

　本稿ではいかなる点が個人情報の保護に関する法律（以下「法」という。）に関する問題として認識されたのかについて解説を行う[2]。

 

２　本ケースにおける事案のポイント

　本会社の発表によれば、本会社では、ユーザーが就職ポータルサイトへ登録する際にプライバシーポリシーについて同意を得ており、同プライバシーポリシーには、ユーザー個人を特定した上でユーザーが登録した個人情報及び行動履歴等を分析・集計し、採用活動補助のため利用企業等へ情報提供をする（ただし、選考に利用されることはないとの留保付き。）旨の記載があった。

　もっとも、2019年3月のプライバシーポリシー変更時における一部同意取得画面での本サービスに関する表記漏れ及び、同意取得フローの考慮不足により、学生7983名から適切な同意を得ていない状態（詳細は不明）であったとのことである。

 

３　個人データの第三者提供及び利用目的の明示について

　まず、上記プライバシーポリシーによれば、本分析スコアは、ユーザー個人を特定した上での情報であるというから、個人情報に該当する（法2条1項1号）。

　次に、個人情報取扱事業者は、原則として、本人の事前の同意なく個人データ（個人情報データベース等［法2条4項］を構成する個人情報のこと［同条6項］）を、第三者に提供してはならないとされている（法23条１項）。法のガイドライン[3]は、かかる同意の取得に当たり、当該事業者の事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならないとしている。

　加えて、あらかじめ個人データを第三者に提供することを想定している場合には、当該個人データ（個人情報）の利用目的において、その旨を特定する必要がある（法15条1項）。この利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が同事業者において最終的にどのような事業の用に供され、どのような目的で同情報が利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましいとされる。

　以上のとおり、本人から同意取得及び利用目的の特定に際しては、個々の具体的な状況に照らして利用の範囲や目的を明示すべきところ、本ケースでは、同意取得画面において本サービスに関する具体的な言及を欠いたものがあり、また、本サービスの対象となるすべての学生から適切な同意が取得できるフローではなかったことをもって、本会社は、本人からの同意取得の手続に問題があったと判断したものと推察される。

 

４　事業者の留意点

　昨今、AI（人口知能）の隆盛も相まって、取得した個人情報が企業に与える価値がより多様化されている。EUにおけるGDPR（一般データ保護規則）をはじめとした世界規模での法令遵守が必須となっているほか、国内においても、法の見直し改正が2020年にあり得るため[4]、法改正の動向には留意が必要である。

 

【本サービスの概要】

以上